Vorwort, Inhaltsverzeichnis

Security – Übersicht 1
SICAM Netzwerktopologie einrichten 2
Kommunikation verschlüsseln 3
SICAM PAS
Weitere Schritte zur besseren Sicherheit 4
V6.00
Literaturverzeichnis, Glossar, Index

Security

E50417-H8900-C382-A1
 Hinweis
Bitte beachten Sie die Hinweise und Warnungen zu Ihrer Sicherheit im Vorwort.

Open Source Software used in the product

The product contains, among other things, Open Source Software, licensed under an Open
Source Software License and developed by third parties. These Open Source Software files are
protected by copyright. Your rights to use the Open Source Software beyond the mere execution
of Siemens´ program, is governed by the relevant Open Source Software license conditions.
Your compliance with those license conditions will entitle you to use the Open Source Software
as foreseen in the relevant license. In the event of conflicts between Siemens license conditions
and the Open Source Software license conditions, the Open Source Software conditions shall
prevail with respect to the Open Source Software portions of the software. A list of the Open
Source Software programs contained in this product and the Open Source Software licenses are
available. Furthermore the license conditions can be found at the following internet websites:
• Copyright (C) 1998-2007 The OpenSSL Project. All rights reserved.
This product includes cryptographic software written by Eric Young. (eay@[Link]).
This product includes software written by TimHudson (tjh@[Link]).
[Link]
• 7-Zip Copyright (C) 1999-2007 Igor Pavlov,
[Link]
If programs contained in this product are licensed under GNU General Public License (GPL),
GNU Lesser General Public License (LGPL) and this software is not already delivered in source
code form together with the device, you can download the source code and the copyright notices
of the relevant software from the internet at:
• [Link]
• [Link]

Haftungsausschluss Copyright
Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der Copyright  Siemens AG 2007
beschriebenen Hard- und Software geprüft. Dennoch können Ab- Weitergabe und Vervielfältigung dieser Unterlage, Verwertung und
weichungen nicht ausgeschlossen werden, so dass wir für die voll- Mitteilung ihres Inhalts ist nicht gestattet, soweit nicht ausdrücklich
ständige Übereinstimmung keine Gewähr übernehmen. zugestanden. Zuwiderhandlungen verpflichten zu Schadenersatz.
Die Angaben in diesem Handbuch werden regelmäßig überprüft, Alle Rechte vorbehalten, insbesondere für den Fall der Patenter-
und notwendige Korrekturen sind in den nachfolgenden Auflagen teilung oder GM-Eintragung.
enthalten. Für Verbesserungsvorschläge sind wir dankbar.
Eingetragene Marken
Technische Änderungen bleiben vorbehalten. SIMATIC®, SIMATIC NET®, SIPROTEC®, DIGSI®, SICAM® und
Dokumentversion V06.00.00 SINAUT® sind eingetragene Marken der SIEMENS AG.
Ausgabedatum 05.2007 Die übrigen Bezeichnungen in diesem Handbuch können Marken
sein, deren Benutzung durch Dritte für deren Zwecke die Rechte
der Inhaber verletzen können.

Siemens Aktiengesellschaft Bestellnr.: E50417-H8900-C382-A1

Vorwort

Zweck des Handbuches

Ziel dieses Dokuments ist es, Systemadministratoren und Systemingenieure zu unterstützen,
das Netzwerk innerhalb einer Station so einzurichten, dass zugelassenes Personal über einge-
richtete Clients externen Zugang zur Leitstelle haben, Unbefügten jedoch den Zutritt verwahrt
wird.

Zielgruppe
Dieses Handbuch wendet sich vorzugsweise an Projektierer, Parametrierer und Betreiber des
Leittechniksystems SICAM PAS.

Gültigkeitsbereich des Handbuchs

Dieses Handbuch ist gültig für SICAM PAS V6.00.

Normen
Folgende Normen betreffen Verschlüsselungssoftware:
• TLS / SSLv3
• IEC62351

Weitere Unterstützung
Bei Fragen zu SICAM PAS wenden Sie sich bitte an Ihren Siemens-Vertriebspartner.

Hotline
Unser Customer Support Center unterstützt Sie rund um die Uhr.
Tel.: 01 80/5 24 70 00
Fax: 01 80/5 24 24 71
e-mail: [Link]@[Link]

Kurse
Das individuelle Kursangebot erfragen Sie bei unserem Training Center:
Siemens AG
Power Transmission and Distribution
Power Training Center
Humboldtstr. 59
90459 Nürnberg
Telefon: 0911 / 4 33-70 05
Fax: 0911 / 4 33-79 29
Internet: [Link]

SICAM, SICAM PAS, Security 3

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Vorwort

Hinweise zu Ihrer Sicherheit

Dieses Handbuch stellt kein vollständiges Verzeichnis aller für einen Betrieb des Betriebsmittels
(Baugruppe, Gerät) erforderlichen Sicherheitsmaßnahmen dar, weil besondere Betriebsbedin-
gungen weitere Maßnahmen erforderlich machen können. Es enthält jedoch Hinweise, die Sie
zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die
Hinweise sind durch ein Warndreieck hervorgehoben und je nach Gefährdungsgrad wie folgt
dargestellt.

Gefahr
bedeutet, dass Tod, schwere Körperverletzung oder erheblicher Sachschaden eintreten werden, wenn die
entsprechenden Vorsichtsmaßnahmen nicht getroffen werden.

Warnung
bedeutet, dass Tod, schwere Körperverletzung oder erheblicher Sachschaden eintreten können, wenn die
entsprechenden Vorsichtsmaßnahmen nicht getroffen werden.

Vorsicht
bedeutet, dass eine leichte Körperverletzung oder ein Sachschaden eintreten können, wenn die entspre-
chenden Vorsichtsmaßnahmen nicht getroffen werden.

Vorsicht
bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getrof-
fen werden.

Hinweis
ist eine wichtige Information über das Produkt, die Handhabung des Produktes oder den jeweiligen Teil der
Dokumentation, auf den besonders aufmerksam gemacht werden soll.

Qualifiziertes Personal
Inbetriebsetzung und Betrieb eines in diesem Handbuch beschriebenen Betriebsmittels (Baugruppe, Gerät)
dürfen nur von qualifiziertem Personal vorgenommen werden. Qualifiziertes Personal im Sinne der sicher-
heitstechnischen Hinweise dieses Handbuches sind Personen, die die Berechtigung haben, Geräte, Sys-
teme und Stromkreise gemäß den Standards der Sicherheitstechnik in Betrieb zu nehmen, freizuschalten,
zu erden und zu kennzeichnen.
Bestimmungsgemäßer Gebrauch
Das Betriebsmittel (Gerät, Baugruppe) darf nur für die im Katalog und der technischen Beschreibung vorge-
sehenen Einsatzfälle und nur in Verbindung mit von Siemens empfohlenen bzw. zugelassenen Fremdgerä-
ten und -komponenten verwendet werden.
Der einwandfreie und sichere Betrieb des Produktes setzt sachgemäßen Transport, sachgemäße Lagerung,
Aufstellung und Montage sowie Bedienung und Instandhaltung voraus.
Beim Betrieb elektrischer Betriebsmittel stehen zwangsläufig bestimmte Teile dieser Betriebsmittel unter
gefährlicher Spannung. Es können deshalb schwere Körperverletzung oder Sachschäden auftreten, wenn
nicht fachgerecht gehandelt wird:
• Vor Anschluss irgendwelcher Verbindungen ist das Betriebsmittel am Schutzleiteranschluss zu erden.
• Gefährliche Spannungen können in allen mit der Spannungsversorgung verbundenen Schaltungsteilen
anstehen.
• Auch nach Abtrennen der Versorgungsspannung können gefährliche Spannungen im Betriebsmittel
vorhanden sein (Kondensatorspeicher).
• Betriebsmittel mit Stromwandlerkreisen dürfen nicht offen betrieben werden.
• Die im Handbuch bzw. in der Betriebsanleitung genannten Grenzwerte dürfen nicht überschritten
werden; dies ist auch bei Prüfung und Inbetriebnahme zu beachten.

4 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Vorwort

Übersicht über die Dokumentation

In dieser Übersicht erfahren Sie in einem groben Raster, welche Information oder Anleitung Sie
in welchem Handbuch finden.

Planung
• Mit welchen Hardware- und Softwarekomponenten decke ich die Anforderungen meines
Projektes ab?
• Kann ich bereits vorhandene Komponenten integrieren?
• Kann ich meinen PC verwenden?
• Welche Kommunikationsschnittstellen sind verfügbar?
• Ist der Aufbau redundanter Systemkomponenten möglich?
• Gibt es Möglichkeiten zur Kommunikationsnetzüberwachung?
• Welche Systemkenntnisse sind zur Betriebsführung notwendig?
/2/ SICAM PAS, Eine Einführung
/3/ SICAM PAS, Installation
/5/ SICAM PAS CC, Handbuch Bedien- und Beobachtungssystem
/9/ SICAM Diamond, Handbuch
/6/ SICAM Valpro, Handbuch Archivauswertung Mess- und Zählwerte
/7/ SICAM PAS Recpro, Handbuch Störschriebauswertung
/8/ SICAM PAS, Automatisierungsbausteine

Bestellung
• Wer unterstützt mich bei technischen und abwicklungstechnischen Fragen?
/2/ SICAM PAS, Eine Einführung

Installation der Software

• Wie gehe ich bei der Installation vor?
• Was ist bei der Autorisierung zu beachten?
• Sind Dongles erforderlich?
• Welche Voraussetzungen müssen erfüllt sein?
/3/ SICAM PAS, Installation
/5/ SICAM PAS CC, Handbuch Bedien- und Beobachtungssystem
/9/ SICAM Diamond, Handbuch
/6/ SICAM Valpro, Handbuch Archivauswertung Mess- und Zählwerte
/7/ SICAM PAS Recpro, Handbuch Störschriebauswertung

Konfiguration / Parametrierung
• Wer kann/darf konfigurieren?
• In welcher Reihenfolge gehe ich beim Konfigurieren/Parametrieren vor?
• Wo stelle ich welche Parameter ein?
• Welche Funktionen sind als Bausteine im Lieferumfang?
• Welche Hilfsmittel habe ich für den Datentest zur Verfügung?

SICAM, SICAM PAS, Security 5

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Vorwort

• Wie werden meine Daten dokumentiert?

• Wie archiviere ich die Daten?
/2/ SICAM PAS, Eine Einführung
/4/ SICAM PAS, Konfigurieren und Bedienen
/8/ SICAM PAS, Automatisierungsbausteine
Online-Hilfe

Bedienen und Beobachten

• Welche Lösungen bietet das System?
• Wie gestalte ich meine Systemoberfläche?
• Wie konfiguriere ich die Schnittstelle zur SICAM PAS Station Unit?
• Wer kann/darf mein System bedienen?
/2/ SICAM PAS, Eine Einführung
/4/ SICAM PAS, Konfigurieren und Bedienen
/5/ SICAM PAS CC, Handbuch Bedien- und Beobachtungssystem
/9/ SICAM Diamond, Handbuch
/6/ SICAM Valpro, Handbuch Archivauswertung Mess- und Zählwerte
/7/ SICAM PAS Recpro, Handbuch Störschriebauswertung
/1/ SIMATIC HMI WinCC V6 Basis-Dokumentation
Online-Hilfe

Mess- und Zählwertarchive

• Welche Funktionen bietet das System SICAM PAS?
• Welche Datenmengen sind in welchem Format speicherbar?
• Welche Auswertungen sind möglich?
/2/ SICAM PAS, Eine Einführung
/5/ SICAM PAS CC, Handbuch Bedien- und Beobachtungssystem
/6/ SICAM Valpro, Handbuch Archivauswertung Mess- und Zählwerte
/7/ SICAM PAS Recpro, Handbuch Störschriebauswertung
/1/ SIMATIC HMI WinCC V6 Basis-Dokumentation
Online-Hilfe

Diagnose/Fehlersuche
• Braucht das System Wartung?
• Was ist die Ursache einer Systemfehlermeldung, wie kann abgeholfen werden?
• Wo kann ich zusätzliche Fehlermeldungen projektieren?
/2/ SICAM PAS, Eine Einführung
/5/ SICAM PAS CC, Handbuch Bedien- und Beobachtungssystem
/9/ SICAM Diamond, Handbuch
Online-Hilfe

6 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Vorwort

Auswertung von Störschrieben

• Welche Funktionen bietet das System SICAM PAS?
• Wie projektiere ich die Funktion?
• Welche Auswertungen sind möglich?
/7/ SICAM PAS Recpro, Handbuch Störschriebauswertung
/4/ SICAM PAS, Konfigurieren und Bedienen

Hinweise zur Sicherheit

• Wie baue ich ein Netzwerk auf?
• Wie verschlüssele ich den Datenverkehr?
• Wie erhöhe ich die Sicherheit im Betrieb?
/10/ SICAM PAS, Security

SICAM, SICAM PAS, Security 7

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Vorwort

8 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Inhaltsverzeichnis

1 Security – Übersicht. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

2 Netzwerktopologie einrichten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

2.1 Systemübersicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
2.2 Zentrale Firewall konfigurieren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.2.1 Grundlagen zu Firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.2.2 Firewall-Regelwerk erstellen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

3 Kommunikation verschlüsseln . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

3.1 Was ist Verschlüsselung? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

3.2 Bereitstellung von Zertifikatspaketen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
3.2.1 Vorgehen beim Erstellen eigener Zertifikate . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
3.3 Addon Secure Communication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
3.3.1 Allgemeines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
3.3.2 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
3.3.3 Konfiguration in SICAM PAS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
3.3.4 Deinstallation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

4 Weitere Schritte zur besseren Sicherheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31

4.1 Benutzerverwaltung in SICAM PAS restriktiv regeln . . . . . . . . . . . . . . . . . . . . . . . . 32

4.2 Betriebssystem konfigurieren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
4.2.1 Hinweise zur Sicherheit von Daten und System . . . . . . . . . . . . . . . . . . . . . . . . 33
4.2.2 Zugriffsrechte im Betriebssystem festlegen. . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.3 Rechner schützen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
4.4 LOG-Dateien regelmäßig kontrollieren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
Literaturverzeichnis
Glossar
Index

SICAM, SICAM PAS, Security 9

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Inhaltsverzeichnis

10 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Security – Übersicht 1

Ziel dieses Dokuments ist es, Systemadministratoren und Systemingenieure zu unterstützen,

das Netzwerk innerhalb einer Station so einzurichten, dass eingerichtete Clients externen
Zugang zur Leitstelle haben, Unbefügten jedoch den Zutritt verwahrt wird.
Damit Sie Ihre Station für Ihr Personal von außen, z.B. über das Internet oder Dial-up, zugäng-
lich machen können, ohne die Station zu gefährden, beachten Sie folgende Punkte:
‰ Netzwerktopologie einrichten

‰ Kommunikation verschlüsseln
‰ Weitere Schritte zur besseren Sicherheit

Netzwerktopologie einrichten
Das Netzwerk soll so aufgebaut werden, dass eine Firewall den externen Zugriff auf nur das
Nötigste einschränkt. Um direkte Zugriffe auf die Geräte von außen unmöglich zu machen,
bauen Sie desweiteren verschiedene Subnetze auf.
Siehe “Netzwerktopologie einrichten” auf Seite 13.

Kommunikation verschlüsseln
Damit die Kommunikation mit den externen Clients sicher ist, soll der externe Datenverkehr ver-
schlüsselt werden. Verschlüsselung schützt den Datenverkehr vor Abhören, identifiziert eindeu-
tig den Kommunikationspartner und schützt vor Verfälschung.
Siehe “Kommunikation verschlüsseln” auf Seite 21.

Weitere Schritte zur besseren Sicherheit

Die beiden oberen Schritte sind das Grundgerüst eines sicheren Betriebs. Es gibt jedoch weitere
Möglichkeiten, Sicherheitsgefährdungen ausschließen, wie z.B.:
‰ Benutzerverwaltung in SICAM PAS restriktiv regeln

Verschiedene Benutzer eines Systems brauchen verschiedene Rechte. Je weniger Rechte

einem Benutzer gegeben werden, desto weniger Unsicherheit besteht.
‰ Betriebssystem schützen
Es gibt beim Einrichten des Betriebssystems einige Punkte zu beachten, damit das Betriebs-
system selber die Daten schützt.
‰ LOG-Dateien kontrollieren

Es gibt verschiedene LOG-Dateien, die regelmäßig ausgewertet werden müssen. So stellen

Sie frühzeitig fest, ob jemand versucht, die Sicherheit des Systems auszuhebeln, wie z.B.
unerlaubten Zugriff auf einen Rechner zu schaffen oder das System extern anzugreifen.
Siehe “Weitere Schritte zur besseren Sicherheit” auf Seite 31.

SICAM, SICAM PAS, Security 11

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Security – Übersicht

12 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Netzwerktopologie einrichten 2

Übersicht
Dieses Kapitel beschreibt wie das Netzwerk innerhalb der Station aufzubauen ist, um den
Datenverkehr möglichst effektiv zu kontrollieren.

Inhalt

2.1 Systemübersicht 14

2.2 Zentrale Firewall konfigurieren 16

SICAM, SICAM PAS, Security 13

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Netzwerktopologie einrichten
2.1 Systemübersicht

2.1 Systemübersicht

Das nachfolgende Bild zeigt eine empfohlene Netzwerktopologie.

Security_uebersicht.tif

Bild 2-1 SICAM PAS Netzwerk

Wie in diesem Bild zu sehen ist, besteht das Netzwerk aus verschiedenen Subnetzen mit unter-
schiedlichen Vertrauensstufen. Die zentrale Firewall verbindet die Subnetze miteinander und
regelt dadurch die Zugriffe von Rechnern in einem Subnetz auf Rechner und Geräte in anderen
Subnetzen.
Je höher die Vertrauensstufe eines Subnetzes ist, desto vertrauenswürdiger werden die Kom-
ponenten des Subnetzes behandelt.

Management LAN
Das Management LAN besteht lediglich aus dem Firewall Management PC. Der Firewall
Management PC wird nur während des Einrichtens der Firewall an die Firewall angeschlossen.

Geräte LAN
Das Geräte LAN entspricht der Kommunikation zwischen den SIPROTEC-Geräten.

14 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Netzwerktopologie einrichten

2.1 Systemübersicht

PAS LAN
Das PAS LAN entspricht dem Stationsnetz. Es kann enthalten:
‰ SICAM PAS Full Server

‰ SICAM PAS CC Rechner

‰ DIGSI Management PC

Diamond LAN (DMZ)

Das Diamond LAN ist eine DMZ (engl.: Demilitarized Zone). Der Server im Diamond LAN regelt
Zugriffe auf die Daten in der Netzwerktopologie von außen.

Remote LAN
Das Remote LAN dient als Sammelstelle für sämtliche Verbindungen außerhalb der Untersta-
tion. Das Remote LAN kann unter anderem enthalten:
‰ Fernverbindung zur Leitstelle, z.B. PowerCC

‰ Fernverbindung über ISDN oder Modem für Wartungszwecke

SICAM, SICAM PAS, Security 15

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Netzwerktopologie einrichten
2.2 Zentrale Firewall konfigurieren

2.2 Zentrale Firewall konfigurieren

In diesem Abschnitt finden Sie grundlegende Informationen zu Firewalls und eine Auflistung der
benötigten Regeln für das Regelwerk für die empfohlene Netzwerktopologie.

Hinweis
Das sichere Einrichten einer zentralen Firewall innerhalb eines Netzwerks setzt Verständnis
über Netzwerkprotokolle und -sicherheit voraus. Kleine Fehler beim Einrichten einer Firewall
machen die Firewall als Sicherheitswerkzeug unbrauchbar.

Hinweis
Wenn Sie ein Gerät in einem Netzwerk mit zentraler Firewall in Betrieb nehmen, muss für das
Gerät die Firewall als Standardgateway eingerichtet sein.

2.2.1 Grundlagen zu Firewalls

Was ist eine Firewall?

Eine Firewall ist eine Sicherheitskomponente in einem Netzwerk, die den Datenverkehr zwi-
schen Subnetzen anhand eines Regelwerks steuert. Eine Firewall wird z.B. eingesetzt, um die
Schnittstelle zwischen einem lokalen Netzwerk (hohe Vertrauensstufe) und dem Internet (keine
Vertrauensstufe) zu kontrollieren.
Eine Firewall überwacht ebenfalls die Schnittstellen zwischen zwei oder mehreren internen
Netzwerken. So wird verhindert, dass Rechner in einem Netzwerk mit einer geringen Vertrau-
ensstufe direkten Zugriff auf Rechner in einem Netzwerk mit einer höheren Vertrauensstufe
haben. Im Beispiel, siehe Bild 2-1, haben die Rechner im Remote LAN keinen Zugriff auf die
Rechner im Geräte LAN.

Was ist ein Regelwerk?

Eine Firewall verwendet ein Regelwerk, um zu steuern, welche Rechner aus welchen Subnetzen
den Datenverkehr mit anderen Rechnern in anderen Subnetzen aufnehmen dürfen.
Eine Regel besteht aus folgenden Komponenten:
‰ Absender-IP-Adresse (auch Netzwerk-Adressen wie z. B. [Link]/24)
‰ IP-Adresse des Empfangsrechners

‰ Netzwerkprotokoll (TCP, UDP)

‰ Port-Nummer

‰ Aktion (erlauben, verwerfen oder ablehnen)

‰ Loggen ja/nein

Bei der Erstellung eines Regelwerks ist auf die Reihenfolge zu achten.

16 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Netzwerktopologie einrichten

2.2 Zentrale Firewall konfigurieren

Datenverkehr innerhalb eines Netzwerks

Eine Firewall hat keinen Einfluß auf den Datenverkehr innerhalb eines Netzwerkes. Es ist z.B.
nicht möglich, den Datenverkehr zwischen zwei Rechnern im PAS LAN (siehe Bild 2-1) über
eine Firewall einzuschränken.

2.2.2 Firewall-Regelwerk erstellen

Folgende Abschnitte beschreiben das Regelwerk für die Firewall.

Ein Firewall-Regelwerk hat drei mögliche Aktionen:
‰ erlauben: Datenpakete werden durchgelassen.

‰ verwerfen: Datenpakete werden nicht durchgelassen, der Sender bekommt keine Benach-
richtigung über den Status.
‰ ablehnen: Die Datenpakete werden nicht durchgelassen, der Sender bekommt eine
Benachrichtigung, dass die Datenpakete abgelehnt wurden.
Alle nachfolgenden Regeln haben als Aktion erlauben. Grundsätzlich ist für alle Regeln das
Loggen aktiviert.

Hinweis
Die folgenden Regeln beschreiben die notwendigen Einstellungen aus Sicht des Servers. Die
eingetragenen IP-Adressen sind aus dem Übersichtsbild (siehe Bild 2-1) entnommen und die-
nen nur als Beispiele. Sie müssen die IP-Adressen Ihrer eigenen Geräte und Rechner verwen-
den.

Regelwerk für das PAS LAN

Tabelle 2-1 Regelwerk für das PAS LAN

Server Server-IP Server- Proto- Client Client-IP

Port koll

Time Server [Link] 123 UDP IEC 61850- 192.168.0.*

(falls Teil vom Geräte
PAS Full
Server)

Time Server [Link] 123 UDP Diamond [Link]

(falls Teil vom Server
PAS Full
Server)

PAS-Rechner 192.168.2.* 162 UDP IEC 61850- 192.168.0.*

mit SNMP Geräte
Protokoll

SICAM, SICAM PAS, Security 17

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Netzwerktopologie einrichten
2.2 Zentrale Firewall konfigurieren

Tabelle 2-1 Regelwerk für das PAS LAN

Server Server-IP Server- Proto- Client Client-IP

Port koll

SICAM PAS [Link] 2404 TCP PowerCC [Link]

Leitstelle
(über IEC
60870-5-104)

SICAM PAS [Link] 20000 TCP PowerCC [Link]

Leitstelle
(über DNP
V3.0)

SICAM PAS [Link] 137 UDP PowerCC [Link]

Leitstelle
(über OPC)

SICAM PAS [Link] 123 TCP Diamond [Link]

Leitstelle Server

Regelwerk für das Geräte LAN

Tabelle 2-2 Regelwerk für das Geräte LAN

Server Server-IP Server- Proto- Client Client-IP

Port koll

IEC 61850- 192.168.0.* 102 TCP PAS-Rechner 192.168.2.x

Geräte mit IEC61850
Protokoll

Time Server [Link] 123 UDP Alle Rechner 192.168.2.*

(falls innerhalb in PAS LAN
vom Geräte
LAN)

Time Server [Link] 123 UDP Diamond [Link]

(falls innerhalb Server
vom Geräte
LAN)

IEC 61850- 192.168.0.* 161 UDP PAS-Rechner 192.168.2.y

Geräte mit SNMP
Protokoll

18 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Netzwerktopologie einrichten

2.2 Zentrale Firewall konfigurieren

Regelwerk für das Diamond LAN

Tabelle 2-3 Regelwerk für das Diamond LAN

Server Server-IP Server- Proto- Client Client-IP

Port koll

Diamond [Link] 80 HTTP Remote [Link]

Server Browser

Diamond [Link] 443 HTTPS Remote [Link]

Server Browser

SICAM, SICAM PAS, Security 19

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Netzwerktopologie einrichten
2.2 Zentrale Firewall konfigurieren

20 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Kommunikation verschlüsseln 3

Übersicht
In diesem Kapitel erfahren Sie, warum Sie die Kommunikation verschlüsseln sollten. Sie erfah-
ren auch, wie Sie das SICAM PAS Secure Communication installieren und einrichten.

Hinweis
Beachten Sie, dass SICAM PAS Secure Communication nur eine Möglichkeit zur Verschlüs-
selung und Absicherung von Daten darstellt. Es gibt andere Lösungen, wie z.B. das Produkt
SCALANCE S (ebenfalls von Siemens), das am Server und an jedem Client installiert werden
kann.

Inhalte

3.1 Was ist Verschlüsselung? 22

3.2 Bereitstellung von Zertifikatspaketen 23

3.3 Secure Communication 25

SICAM, SICAM PAS, Security 21

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Kommunikation verschlüsseln
3.1 Was ist Verschlüsselung?

3.1 Was ist Verschlüsselung?

Verschlüsselung ist der Vorgang, bei dem ein klar lesbarer Text oder andere Informationen mit
Hilfe eines Verschlüsselungsverfahrens in eine unleserliche, also nicht einfach interpretierbare,
Zeichenfolge umgewandelt wird. Entschlüsselung ist die Rückwandlung der Zeichenfolge in den
ursprünglichen Text.
SICAM PAS Secure Communication basiert auf dem asymmetrischen Verschlüsselungsver-
fahren.

Das asymmetrische Verschlüsselungsverfahren

In einem asymmetrisches Verschlüsselungsverfahren besitzt der Empfänger von zu verschlüs-
selnden Daten ein Schlüsselpaar, das aus einem privaten Schlüssel und einem öffentlichen
Schlüssel besteht.
Der öffentliche Schlüssel ist Bestandteil des Zertifikats. Wenn ein Sender einem Empfänger eine
Nachricht schicken will, dann fordert er beim Empfänger zuerst das Zertifikat an. Mit dem öffent-
lichen Schlüssel verschlüsselt er die Nachricht und verschickt sie. Der Empfänger entschlüsselt
die Nachricht dann mit seinem privaten Schlüssel.
Das asymmetrische Kryptoverfahren kann mit einem Briefkasten verglichen werden: Alle kön-
nen eine Nachricht in den Briefkasten einwerfen, aber nur der Schlüsselbesitzer kann den Brief-
kasten öffnen und die Daten lesen.
In SICAM PAS Secure Communication werden die Daten von beiden Kommunikationspart-
nern verschlüsselt. Beide Kommunikationspartner brauchen daher ein eigenes Schlüsselpaar.

Das Zertifikatspaket
Das Zertifikatspaket enthält neben dem eigenen Zertifikat und dem privaten Schlüssel das Wur-
zelzertifikat der Gegenstelle.
Das Wurzelzertifikat beglaubigt das Zertifikat der Gegenstelle beim Aufbau einer sicheren Ver-
bindung. Mit Beglaubigung wird sichergestellt, dass nur Zertifikate von vertrauenswürdigen kom-
munikationspartnern akzeptiert werden.

Umsetzung in Secure Communication

In SICAM PAS Secure Communication wird die Kommunikation aus beiden Richtungen ver-
schlüsselt. Aus diesem Grund ist es notwendig, dass jeweils für SICAM PAS und für die Clients
ein Zertifikatspaket bereitgestellt wird.

22 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Kommunikation verschlüsseln

3.2 Bereitstellung von Zertifikatspaketen

3.2 Bereitstellung von Zertifikatspaketen

Sie müssen ein Zertifikatspaket für SICAM PAS (Server) und ein Zertifikatspaket für die Clients
vor dem Einsatz von SICAM PAS Secure Communication bereitstellen.
Sie können diese Zertifikatspakete von einem PKI-Dienstleister (PKI: Public-Key-Infrastructure)
erwerben oder mit OpenSSL selber erstellen.

Hinweis
Beachten Sie dabei die Richtlinien in Ihrem Unternehmen.

3.2.1 Vorgehen beim Erstellen eigener Zertifikate

Hinweis
Die folgende Beschreibung ist eine Zusammenfassung einer englischsprachigen Anleitung zur
Erstellung von Zertifikaten mit OpenSSL. Diese Beschreibung soll keineswegs als Empfehlung
für diese Software gesehen werden.

Die vollständige englischsprachige Beschreibung finden Sie unter:

‰ [Link]

Compilierte Versionen der OpenSSL Software finden Sie unter:

‰ [Link]

Generieren von Zertifikaten

Um die Zertifikate für Secure Communication zu erstellen, gehen Sie in folgender Reihenfolge
vor:
• Generieren Sie einen Schlüssel für die eigene Certificate Authority (CA).
Wenn Sie eine eigene CA generieren, legen Sie bestimmte Daten für das Zertifikat und zu
Ihrer Organisation fest. Für mehr Information hierzu, siehe “Hinweise zur Generierung von
Zertifikaten” unten.
• Unterschreiben Sie den Schlüssel.
Dieser Schritt erstellt ein selbstsigniertes Wurzelzertifikat (CRT-Datei).
• Generieren Sie einen Schlüssel für den Server.
Dieser Schlüssel wird dann der private Schlüssel für den Server sein.
• Generieren Sie ein Certificate Signing Request (CSR) für den Schlüssel und unterschreiben
Sie das Zertifikat mit dem eigenen Wurzelzertifikat (erstellt in Schritt 1).
Dieser Schritt erstellt das eigene Zertifikat für den Server.
• Wiederholen Sie Schritte 3 und 4 für das Zertifikat der Clients.

SICAM, SICAM PAS, Security 23

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Kommunikation verschlüsseln
3.2 Bereitstellung von Zertifikatspaketen

Hinweise zur Generierung von Zertifikaten

Bitte beachten Sie, dass Sie drei Zertifikate generieren müssen: eines für die CA, eines für
SICAM PAS, eines für die Clients. Bei der Generierung der Zertifikate benötigen Sie jeweils
einen eindeutig identifizierbaren Schlüssel.
Wenn Sie diese Schlüssel generieren, geben Sie folgende Daten an:
‰ Common Name (CN)

‰ Organization (O)

‰ Organizational Unit (OU)

Die Einträge für Organization und Organizational Unit können für alle Zertifikate gleich sein.
Der Common Name muss aber für jedes Zertifikat eindeutig sein. Sie können z.B. für die drei
Zertifikate folgende Common Names verwenden:
‰ CA: myCertificates CA

‰ Server: myCertificates Server

‰ Clients: myCertificates Clients

Hinweis
Wenn Sie die Schlüssel erstellen, werden Sie gefragt, ob Sie den Schlüssel mit einem Passwort
schützen wollen. Dies verhindert einen Missbrauch des privaten Schlüssels, wenn die Datei kor-
rumpiert wurde.
• Schützen Sie den Schlüssel mit einem Passwort.

24 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Kommunikation verschlüsseln

3.3 Secure Communication

3.3 Secure Communication

Dieser Abschnitt beschreibt die Installation, Konfiguration und Deinstallation von

SICAM PAS Secure Communication.

3.3.1 Allgemeines

SICAM PAS Secure Communication (sichere Kommunikation) ermöglicht abhörsicheren

Datenverkehr über eine TCP/IP-Verbindung zwischen einer SICAM PAS-Station und einer Netz-
leitstelle. Verwendet wird dabei ein asymmetrisches TLS-basiertes Kryptoverfahren.
Eine sichere Kommunikation ist bei folgendem Kommunikationsprotokoll möglich:
‰ DNP 3.0 i Slave

SICAM PAS Secure Communication muss separat bestellt werden und wird auf einer geson-
derten CD-ROM ausgeliefert.

Voraussetzung
SICAM PAS Secure Communication kann nur auf Rechner installiert werden, wenn die
SICAM PAS-Software bereits installiert und konfiguriert wurde. Nach der Installation ist eine
Freischaltung mit dem Feature Enabler erforderlich.

Restriktionen
Es gibt Restriktionen bezüglich des Exports von Verschlüsselungssoftware in bestimmte Länder.
SICAM PAS Secure Communication darf daher nicht in allen Ländern installiert werden.
Wenn Sie unsicher sind, ob Sie SICAM PAS Secure Communication einsetzen dürfen, setzen
Sie sich mit Ihrem Siemens Vertriebspartner in Verbindung.

3.3.2 Installation

Bitte beachten Sie, dass Sie SICAM PAS Secure Communication nur installieren können,
nachdem die Installation und Konfiguration der SICAM PAS-Software bereits abgeschlossen ist.
Um SICAM PAS Secure Communication zu installieren, gehen Sie wie folgt vor:
• Legen Sie die CD-ROM mit SICAM PAS Secure Communication in Ihr CD-ROM-Laufwerk
ein. Der Installationsvorgang wird gestartet.

Hinweis
Sollte der Installationsvorgang nicht automatisch gestartet werden gehen Sie wie folgt vor:
• Klicken Sie auf Start > Ausführen.
• Geben Sie X:\[Link] ein, wobei X den Buchstaben Ihres CD-ROM-Laufwerks bezeich-
net.
• Klicken Sie auf OK.

SICAM, SICAM PAS, Security 25

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Kommunikation verschlüsseln
3.3 Secure Communication

• Folgen Sie den Anweisungen der Installations-Routine.

Nach der Installation von SICAM PAS Secure Communication ist in SICAM PAS UI -Confi-
guration unter Vorlagen der Ordner Zertifikatspakete zu sehen. In diesen Ordner fügen Sie
Ihre Zertifikatspakete ein.

3.3.3 Konfiguration in SICAM PAS

Damit ein Rechner verschlüsselten Datenverkehr entschlüsseln kann, müssen Sie bei diesem
Rechner in der SICAM PAS Configuration folgende Einstellungen vornehmen:
• das Zertifikatspaket einfügen
• die sichere Kommunikation für das entsprechende Kommunikationsprotokoll aktivieren
Auf der anderen Seite der Verbindung (z. B. der Leitstelle) müssen Sie die Konfiguration der
sicheren Verbindung ebenfalls durchführen.

Zertifikatspaket der SICAM PAS einfügen

Beachten Sie, dass ein Zertifikatspaket der SICAM PAS folgende Komponenten enthält:
‰ das Wurzelzertifikat der Gegenstelle
‰ das eigene Zertifikat der SICAM PAS

‰ der private Schlüssel der SICAM PAS

So fügen Sie das Zertifikatspaket der SICAM PAS ein:

• Klicken Sie in der Vorlagensicht von SICAM PAS UI - Configuration mit der rechten Maus-
taste auf den Eintrag Zertifikate (unterhalb der Normalisierung).
• Wählen Sie Zertifikatspaket um das Fenster Einfügen - Zertifikatspaket zu öffnen.

SecCom_inst_04.tif

Bild 3-1 Zertifikatspaket einfügen

• Geben Sie unter Namen eine eindeutige Bezeichnung für das Zertifikatspaket ein.

26 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Kommunikation verschlüsseln

3.3 Secure Communication

• Geben Sie für die drei Komponenten des Zertifikatspakets den jeweiligen Pfad an:
‰ Wurzelzertifikat (der Gegenstelle)
‰ Privater Schlüssel
‰ Eigenes Zertifikat
• Schließen Sie den Dialog mit OK.

Secure Communication aktivieren

Die sichere Kommunikation können Sie immer nur für ein Kommunikationsprotokoll aktivieren.
Das entsprechende Protokoll muss bereits eingefügt sein.
So aktivieren Sie die sichere Kommunikation:
• Wechseln Sie in die Ansicht Konfiguration.
• Navigieren Sie wie folgt:
Rechner > DNP 3.0 Slave > Schnittstelle > Leitstelle

SecCom_inst_03.tif

Bild 3-2 Sichere Kommunikation aktivieren

Machen Sie folgende Einstellungen:

• Aktivieren Sie unter Allgemeine Funktionen die Sichere Kommunikation aktivieren.
• Wählen Sie bei Zertifikatspaket das gewünschte (bereits eingefügte) Zertifikatspaket.
Damit ist die Konfiguration für die sichere Kommunikation abgeschlossen.

SICAM, SICAM PAS, Security 27

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Kommunikation verschlüsseln
3.3 Secure Communication

3.3.4 Deinstallation

Um SICAM PAS Secure Communication zu deinstallieren, gehen Sie wie folgt vor:
• Klicken Sie Start > Einstellungen > Systemsteuerung
• Doppelklicken Sie auf Software. Der Dialog Software wird geöffnet.

SecCom_inst_02.tif

Bild 3-3 Deinstallieren von Programmen

• Markieren Sie Siemens SICAM PAS Secure Communication Add-On und klicken Sie auf
die Schaltfläche Entfernen. Die Deinstallation wird gestartet.
• Folgen Sie den Anweisungen der Deinstallations-Routine.

28 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Weitere Schritte zur besseren Sicherheit 4

Übersicht
Hundertprozentige Sicherheit erreichen Sie mit keinem einzelnen Produkt. Damit Sie ein kom-
plexes System (wie das SICAM PAS Netzwerk) schützen können, gibt es viele Punkte zu beach-
ten. In diesem Kapitel erfahren Sie einige wichtige Punkte zum zusätzlichen Schutz des
Netzwerks.

Inhalt

4.1 Benutzerverwaltung in SICAM PAS restriktiv regeln 32

4.2 Betriebssystem konfigurieren 33

4.3 Rechner schützen 36

4.4 LOG-Dateien regelmäßig kontrollieren 37

SICAM, SICAM PAS, Security 31

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Weitere Schritte zur besseren Sicherheit
4.1 Benutzerverwaltung in SICAM PAS restriktiv regeln

4.1 Benutzerverwaltung in SICAM PAS restriktiv regeln

Für die Arbeit mit den Programmen SICAM PAS UI - Configuration, SICAM PAS UI - Opera-
tion und Value Viewer kann die SICAM PAS-Benutzerverwaltung benutzt werden. Beachten
Sie dabei folgende Punkte:
‰ Die Benutzerverwaltung in SICAM PAS basiert auf Benutzergruppen. Jede dieser Gruppen
ist mit den Rechten ausgestattet, die für das Erfüllen der jeweiligen Aufgaben nötig sind.
‰ Überlegen Sie vorher, welcher Gruppe der jeweilige Benutzer zugeordnet werden soll. Je
weniger Rechte ein Benutzer hat, auf desto weniger Risiko lassen Sie sich ein.
‰ Wenn ein Benutzer nicht mehr mit SICAM PAS arbeiten soll, löschen Sie ihn sofort.

Nachfolgende Benutzergruppen stehen Ihnen zur Verfügung.

‰ Der Administrator ist mit allen Rechten ausgestattet.

‰ Der Systembetreuer ist mit allen Rechten ausgestattet, außer der Vergabe von Benutzer-
rechten.
‰ Der Parametrierer ist mit allen Rechten für SICAM PAS UI - Configuration und Leserech-
ten für SICAM PAS UI - Operation und Value Viewer ausgestattet.
‰ Das Betriebspersonal ist mit allen Rechten für SICAM PAS UI - Operation ausgestattet,
für SICAM PAS UI - Configuration bestehen nur Leserechte.
‰ Der Gast ist mit Leserechten für SICAM PAS UI - Operation und SICAM PAS UI - Confi-
guration ausgestattet.

32 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Weitere Schritte zur besseren Sicherheit

4.2 Betriebssystem konfigurieren

4.2 Betriebssystem konfigurieren

SICAM PAS CC wird für die Prozessvisualisierung (Bedienen und Beobachten) von
SICAM PAS-Systemen eingesetzt.
SICAM PAS CC basiert auf SIMATIC WinCC. Die Konfigurationsmöglichkeiten von
SIMATIC WinCC reichen von Einplatzsystemen über verteilte Systeme in Client/Server-Archi-
tektur bis hin zur redundanten Ausführung des WinCC-Servers.
Sie finden hier Informationen zum Konfigurieren SICAM PAS CC, um den Zugang zu Daten auf
dem System einzuschränken.
Weitere Information finden Sie in SIMATIC HMI WinCC V6 Basis-Dokumentation /1/

4.2.1 Hinweise zur Sicherheit von Daten und System

Einleitung
Mit einfachen Mitteln können Sie die Sicherheit Ihres Systems bei der Verwendung von WinCC
erhöhen.

Zugriff auf Betriebssystem-Ebene in Runtime verhindern

Wenn Windows-Auswahldialoge in einem aktivierten WinCC-Projekt aufgerufen werden, dann
ist über diese Funktion der Zugriff auf das Windows-Betriebssystem möglich. Ein Windows-Aus-
wahldialog wird z.B. geöffnet, wenn Daten importiert oder Dateien ausgewählt werden.
Schützen Sie die entsprechende Funktion mit einer Prüfung der Bedienberechtigung über den
User Administrator, um den unberechtigten Zugriff auf das Betriebssystem zu verhindern.

Zugriff auf Windows Taskleiste verhindern

Über die Rechnereigenschaften im WinCC-Projekt können Sie die Anzeige der Windows-Tas-
kleiste in Runtime verhindern.
Zusätzlich müssen Sie in Windows die Einstellung Taskleiste immer im Vordergrund halten
deaktivieren.

SICAM, SICAM PAS, Security 33

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Weitere Schritte zur besseren Sicherheit
4.2 Betriebssystem konfigurieren

Tastenkombinationen sperren
Deaktivieren Sie im Dialog Eigenschaften Rechner auf der Registerkarte Parameter alle Tas-
tenkombinationen im Bereich Tastenkombinationen sperren.
Wenn Sie die Tastenkombination <Strg+Esc> sperren, dann sind in Runtime auch folgende Tas-
tenkombinationen gesperrt:

Tabelle 4-1

Tastenkombination Funktion

<Windows + U> Hilfsprogramm-Manager

fünf Mal <Shift> drücken Einrastfunktion

acht Sekunden lang <Shift Anschlagverzögerung

rechts> gedrückt halten

<Alt links> + <Shift links> + Tastaturmaus

<Num>

<Alt links> + <Shift links> + Hoher Kontrast

<Druck>

Lokale Benutzerrechte beim Betrieb von WinCC

Für die Installation von WinCC benötigen Sie lokale Administratorrechte.
Für den Betrieb von WinCC benötigen Sie lokale Windows Hauptbenutzerrechte.
Für den Remote-Zugriff auf ein WinCC-Projekt benötigen Sie sowohl auf dem Client als auch auf
dem Server lokale Windows Hauptbenutzerrechte.
Für den Betrieb eines WinCC-Clients in Runtime benötigen Sie unter Windows mindestens das
Benutzerrecht Benutzer. Vor dem Betrieb müssen jedoch die administrativen Einstellungen von
einem Administrator oder Hauptbenutzer eingerichtet werden, z.B. die Freigabe der Dateirechte
oder Einstellungen des Druckertreibers.

34 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Weitere Schritte zur besseren Sicherheit

4.2 Betriebssystem konfigurieren

4.2.2 Zugriffsrechte im Betriebssystem festlegen

Einleitung
Beim Arbeiten mit WinCC werden bestimmte Verzeichnisse für den Zugriff über das Netz freige-
geben. Aus Sicherheitsgründen sollten diese Verzeichnisse nur für bestimmte Benutzer freige-
geben werden.

Von WinCC festgelegte Zugriffsrechte

WinCC richtet nach der WinCC-Installation automatisch folgende lokalen Gruppen in der Win-
dows Benutzer- und Gruppenverwaltung ein:
• SIMATIC HMI
Die Mitglieder dürfen lokal Projekte anlegen, bearbeiten, starten und auf diese Projekte
remote zugreifen. Standardmäßig werden der Benutzer, der die WinCC-Installation durch-
führt, und der lokale Administrator in diese Gruppe aufgenommen. Weitere Mitglieder müs-
sen manuell durch einen Administrator hinzugefügt werden.
• SIMATIC HMI CS
Die Mitglieder dürfen nur projektieren, jedoch keine Änderungen an den Laufzeitkomponen-
ten direkt durchführen. Diese Gruppe ist standardmäßig leer und wird zur späteren Verwen-
dung reserviert.
• SIMATIC HMI Viewer
Die Mitglieder dürfen nur lesend auf Projektierung und Laufzeitdaten zugreifen. Diese
Gruppe wird vorrangig für die Konten von Webveröffentlichungsdiensten verwendet, z. B.
des IIS (InternetInformationServices) für den Betrieb des WinCC Webnavigator.

SICAM, SICAM PAS, Security 35

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Weitere Schritte zur besseren Sicherheit
4.3 Rechner schützen

4.3 Rechner schützen

Mit einfachen Mitteln können Sie die Sicherheit des SICAM PAS-Netzwerks erhöhen, indem Sie
die Rechner innerhalb des Netzwerks schützen, wie z.B.:
‰ Zugang zu den Rechnern einschränken

‰ Firewall des Betriebssystems aktivieren und konfigurieren

‰ Sicherstellen, dass der Rechner an keine unsicheren Netzwerke angeschlossen ist

‰ Sicherheitsfunktionen von SICAM PAS CC verwenden

Zugang zu den Rechnern einschränken

Der erste Schritt zu besserer Sicherheit ist es, den Zugang zu einem System zu sperren. Wenn
die Rechner in einem abgesperrten, zugangsgeregelten Rechnungszentrum stehen, verringert
sich das Risiko, dass ein Unbefügter in das Netzwerk eindringt.
Wenn ein Rechner in einem nicht geschützen Raum steht, ist der Zugang zum Rechner durch
ein Passwort zu regeln, damit sich nur Befügte an den Rechner einloggen können.
• Regeln Sie den Zugriff auf den Rechner durch Passwörter.
Es ist wichtig, dass ein passwortgeschützter Bildschirmschoner nach kurzer Zeit aktiviert wird
und den Rechner vor nicht erlaubtem Zugang schützt.
• Aktivieren Sie den passwortgeschützten Bildschirmschoner. Wir empfehlen, den Standard-
Windows-Bildschirmschoner zu verwenden.

Firewall des Betriebssystems aktivieren und konfigurieren

Die Windows-Firewall verhindert, dass auf dem Rechner installierte Programme Daten über das
Netzwerk senden. Da Programme Daten auf andere Rechner innerhalb des SICAM PAS-Netz-
werks senden, sind Ausnahmen notwendig.
• Aktivieren Sie die Windows-Firewall.
• Deaktiveren Sie die Einstellung Keine Ausnahmen zulassen.
Information zu Einstellung der internen Firewall finden Sie in der Windows-Hilfe.

Sicherstellen, dass der Rechner an keine unsicheren Netzwerke angeschlossen ist

Der Rechner kann gleichzeitig an mehrere Netzwerke angeschlossen sein. Die Sicherheit des
SICAM PAS-Netzwerkes kann nicht gewährleistet werden, wenn ein angeschlossener Rechner
über ein anderes Netzwerk gefährdet ist.
Wenn Sie unsicher sind, ob ein weiteres Netzwerk ausreichend geschützt ist, schließen Sie kei-
nen SICAM PAS-Rechner an dieses Netzwerk an.

Sicherheitsfunktionen von SICAM PAS CC verwenden

Die Software SICAM PAS CC bietet einige Sicherheitsfunktionen. Sie finden Informationen über
diese Sicherheitsfunktionen in der SICAM PAS CC Benutzerdokumentation.

36 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
 Weitere Schritte zur besseren Sicherheit

4.4 LOG-Dateien regelmäßig kontrollieren

4.4 LOG-Dateien regelmäßig kontrollieren

Es gibt mehrere LOG-Dateien im SICAM PAS-Netzwerk. Diese halten verschiedene Ereignisse

im Netzwerk fest wie z.B.:
‰ alle versuchten Logins an einem Rechner

‰ alle Versuche, über eine Fernverbindung in das Netz einzudringen

Wenn Sie die LOG-Dateien regelmäßig kontrollieren, entdecken Sie frühzeitig potentielle Sicher-
heitsprobleme.

Sie finden folgende LOG-Dateien im Netzwerk. Beachten Sie, dass diese Liste nicht alle LOG-
Dateien enthält.
• LOG-Dateien an den SICAM PAS-Rechnern
• LOG-Datei der Firewall
• Event Log in SICAM PAS (Server) mit Security Log, Application Log und System Log

SICAM, SICAM PAS, Security 37

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Weitere Schritte zur besseren Sicherheit
4.4 LOG-Dateien regelmäßig kontrollieren

38 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Literaturverzeichnis

/1/ SIMATIC HMI WinCC V6 Basis-Dokumentation

6AV6392-1XA06-0AA0
/2/ SICAM PAS, Eine Einführung
E50417-X8900-C044-A7
/3/ SICAM PAS, Installation
E50417-M8900-C045-A7
/4/ SICAM PAS, Konfigurieren und Bedienen
E50417-P8900-C046-A8
/5/ SICAM PAS CC, Handbuch
Bedien- und Beobachtungssystem
E50417-H8900-C284-A5
/6/ SICAM Valpro, Handbuch
Archivauswertung Mess- und Zählwerte
E50417-H8900-C285-A3
/7/ SICAM PAS Recpro, Handbuch
Störschriebauswertung
E50417-H8900-C286-A5
/8/ SICAM PAS, Automatisierungsbausteine
E50417-H8900-C382-A1
/9/ SICAM Diamond, Handbuch
E50417-H8900-C183-A4
/10/ SICAM PAS, Security
E50417-H8900-C382-A1

SICAM, SICAM PAS, Security 39

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Literaturverzeichnis

40 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Glossar

Administrator
Systemverwalter, der im lokalen Netzwerk uneingeschränkte Zugriffsrechte hat und für die Ver-
waltung und Betreuung des Netzwerks zuständig ist. Der Administrator vergibt unter anderem
die IP-Adressen in seinem Netzwerk und muss die Einmaligkeit jeder IP-Adresse gewährleisten.

Bridge
Bridges verbinden Teilnetze miteinander und entscheiden anhand der Ethernet-Adresse, wel-
che Pakete die Bridge passieren dürfen und welche nicht. Die dazu notwendigen Informationen
entnimmt die Bridge Tabellen, die je nach Modell vom Administrator eingegeben werden müs-
sen oder von der Bridge dynamisch selbst erstellt werden; vgl. a. Router

Browser
Client-Programm mit grafischer Benutzeroberfläche, das dem Anwender die Möglichkeit gibt,
Webseiten anzuzeigen und andere Dienste im Internet zu nutzen.

Client
Ein Client übernimmt Daten von einem Server. Bei der Kommunikation zwischen SICAM PCC/
PAS und entfernten Systemen legt der Client fest, welche der vom Server für ihn freigegebenen
Daten an ihn übertragen werden sollen, und unter welchen Bedingungen. Der Server ist dabei
ausschließlich dafür zuständig, dass die vom Client angeforderten Daten beim Eintreten der
festgelegten Bedingungen immer wieder an diesen übertragen werden.
Server

DMZ
Eine Demilitarized Zone (DMZ, auch ent- oder demilitarisierte Zone) bezeichnet ein Compu-
ternetzwerk mit sicherheitstechnisch kontrollierten Zugriffmöglichkeiten auf die daran ange-
schlossenen Server.
Die in der DMZ aufgestellten Systeme werden durch eine oder mehrere Firewalls gegen andere
Netze (z. B. Internet, LAN) abgeschirmt. Durch diese Trennung kann der Zugriff auf öffentlich
erreichbare Dienste gestattet und gleichzeitig das interne Netz (LAN) vor unberechtigten Zugrif-
fen geschützt werden.

Firewall
Unter Firewall versteht man Netzwerkkomponenten, die ähnlich einem Router ein internes Netz-
werk (Intranet) an ein öffentliches Netzwerk (z.B. Internet) ankoppeln. Hierbei lassen sich die
Zugriffe ins jeweils andere Netz abhängig von der Zugriffsrichtung, dem benutzten Dienst sowie
der Authentifizierung und Identifikation des Netzteilnehmers begrenzen oder komplett sperren.
Ein weiteres Leistungsmerkmal kann die Verschlüsselung von Daten sein, wenn z.B. das öffent-
liche Netz nur als Transitweg zwischen zwei räumlich getrennten Teilen eines Intranet genutzt
wird.

SICAM, SICAM PAS, Security 41

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Gateway
Gateways verbinden - wie auch Bridges und Router - verschiedene Netze miteinander. Während
Bridge und Router zwar ggf. die physikalische Art des Netzes umsetzen (z.B. Ethernet/ISDN),
das eigentliche Protokoll (z.B. TCP/ IP) aber unberührt lassen, bieten Gateways die Möglichkeit,
einen Zugang zu protokollfremden Netzen zu schaffen (z.B. TCP/IP auf PROFIBUS). Ein Gate-
way hat also unter anderem auch die Aufgabe, unterschiedliche Kommunikationsprotokolle zu
übersetzen.
Achtung: bei der Netzwerkkonfiguration in Windows-Betriebssystemen wird auch die Eingabe
eines Gateways gefordert. Diese Angabe bezieht sich allerdings auf einen ggf. im Netzwerk vor-
handenen Router!

HTTP
Hypertext Transfer Protocol
Das HTTP-Protokoll setzt auf TCP auf und regelt die Anforderung und Übertragung von Webin-
halten zwischen HTTP-Server und Browser. Damit ist HTTP heute das meistgenutzte Protokoll
im Internet

HTTPS
Hypertext Transfer Protocol Secure
Erweiterung von HTTP für die geschützte Übertragung von vertraulichen Daten. Die zusätzliche
Verschlüsselung der Daten geschieht mittels SSL/TLS.

IP-Adresse
Die IP-Adresse ist eine 32-Bit-Zahl, die jeden Netzteilnehmer im Internet bzw. Intranet eindeutig
identifiziert. Sie besteht aus einem Netzwerkteil (Net-ID) und einem Benutzerteil (Host-ID).

ISDN
Integrated Service Data Network
Ein digitaler Hochgeschwindigkeits-Telefondienst, mit dem Sie die Übertragungsgeschwindig-
keit bei Verbindungen zum Internet oder zum lokalen Netzwerk (Local Area Network, LAN) Ihres
Unternehmens drastisch erhöhen können. ISDN arbeitet mit Geschwindigkeiten bis zu 128 Kbit/
s, also mindestens fünf Mal schneller als viele analoge Modems.

LAN
Local Area Network
Lokales Netz innerhalb eines begrenzten Gebiets unter Anwendung eines schnellen Übertra-
gungsmediums wie z.B. Ethernet.

Öffentlicher Schlüssel
Die nicht geheime andere Hälfte eines Kryptografieschlüsselpaares, die mit dem Algorithmus
eines öffentlichen Schlüssels verwendet wird. Öffentliche Schlüssel werden für gewöhnlich zum
Verschlüsseln eines Sitzungsschlüssels, zum Überprüfen einer digitalen Signatur oder zum Ver-
schlüsseln von Daten verwendet, die mit dem entsprechenden privaten Schlüssel entschlüsselt
werden können.

Privater Schlüssel
Der Besitzer eines privaten Schlüssels verwendet den Schlüssel, um die Daten vom Sender zu
entschlüsseln. Diese Daten werden anhand des öffentlichen Schlüssels vom Zertifikat des Emp-
fängers verschlüsselt.

42 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Router
Router verbinden zwei unterschiedliche Netze, wobei im Gegensatz zu Bridges nicht anhand der
Ethernet-Adresse, sondern in Abhängigkeit von der IP-Adresse entschieden wird, welche Daten-
pakete weiterzuleiten sind.

Server
Ein Server stellt Daten für die Übertragung an andere Systeme zur Verfügung. Wenn SICAM
PAS als Server fungiert werden dabei eine Reihe von Sicherheitsattributen festgelegt, mit denen
sich die Zugriffsrechte der Partnersysteme steuern lassen. Wenn Sie Ihren SICAM PCC als Ser-
ver konfigurieren, legen Sie fest, welche Datenobjekte welchem Client zur Verfügung gestellt
werden sollen. Außerdem können Sie für jedes Datenobjekt Zugriffsrechte vergeben.
Client

SSL
Secure Socket Layer
siehe TLS

Subnetz
Eine Unterabteilung eines IP-Netzwerkes. Jedes Subnetz verfügt über eine eigene eindeutige
Netzwerkkennung.

Subnetzmaske
Ein 32-Bit-Wert, mit dem der Empfänger von IP-Paketen die Netzwerkkennung in einer IP-
Adresse von der Hostkennung in der IP-Adresse unterscheiden kann. Subnetzmasken haben in
der Regel das Format 255.x.x.x.

TCP
Transmission Control Protocol
Ein Bestandteil der Internet-Protokollreihe. TCP setzt auf IP auf und sorgt nicht nur für die Ver-
bindung der Teilnehmer während der Datenübertragung, sondern stellt auch die Korrektheit der
Daten und die richtige Abfolge der Datenpakete sicher.

TCP/IP
Transmission Control Protocol / Internet Protocol
Eine Gruppe von im Internet häufig verwendeten Netzwerkprotokollen, die die Kommunikation
über miteinander verbundene Netzwerke aus Computern mit unterschiedlichen Hardwarearchi-
tekturen und Betriebssystemen möglich macht. TCP/IP umfasst Standards für die Kommunika-
tion zwischen Computern und Konventionen zum Verbinden von Netzwerken sowie zum Routen
des Datenverkehrs.

TLS
Transport Layer Security
Transport Layer Security (TLS) oder Secure Sockets Layer (SSL) sind hybride Verschlüsse-
lungsprotokolel für Datenübertragungen im Internet. TLS 1.0 und 1.1 sind die standardisierten
Weiterentwicklungen von SSL 3.0 (TLS 1.0 steht neu für SSL 3.1). SSL wird also nun unter dem
Namen TLS weiterentwickelt.

SICAM, SICAM PAS, Security 43

E50417-H8900-C382-A1, Ausgabedatum 05.2007
UDP
User Datagram Protocol
UDP ist ein Protokoll, das wie TCP auf IP aufsetzt, im Gegensatz dazu aber verbindungslos
arbeitet und über keine Sicherheitsmechanismen verfügt. Der Vorteil von UDP gegenüber IP ist
die höhere Übertragungsgeschwindigkeit.

Verschlüsselung mit öffentlichem Schlüssel

Eine Verschlüsselungsmethode, bei der zwei mathematisch miteinander verbundene Verschlüs-
selungsschlüssel verwendet werden. Der öffentliche Schlüssel wird zur Verschlüsselung ver-
wendet, der Empfänger hat den dazugehörigen privaten Schlüssel. Eine Verschlüsselung mit
öffentlichen Schlüsseln wird auch als asymmetrische Verschlüsselung bezeichnet.

Vertrauensstufe
Eine Firewall regelt den Verkehr zwischen Netzen mit verschiedene Vertrauensstufen, wie z.B.
zwischen einem unternehmensweiten Intranet (ein Netz mit relativ hoher Vertrauensstufe) und
dem Internet (ein Netz mit keiner Vertrauensstufe).

Wurzelzertifikat
Ein Wurzelzertifikat wird u.a. dafür verwendet, um das beim Kommunikationsaufbau übertra-
gene Zertifikat der Gegenstelle zu beglaubigen. Das Wurzelzertifikat ist Teil der PKI-Schema.

X.509
X.509 ist ein ITU-T-Standard für eine Public-Key-Infrastruktur und beschreibt die Struktur digita-
ler Zertifikate.

Zeitserver
Ein Computer, der die Zeit auf allen Computern in einem Netzwerk synchronisiert. Dadurch ist
sichergestellt, dass die von Netzwerkdiensten und lokalen Funktionen verwendete Zeit immer
stimmt.

Zertifikat
Ein Zertifikat wird beim Kommunikationsaufbau an den Kommunikationspartner gesendet. Die-
ser benutzt den darin enthaltenen öffentlichen Schlüssel, um die Daten für den Empfänger zu
verschlüsseln.

Zertifikatspaket
Das Zertifikatspaket eines Kommunikationspartners enthält die notwendigen Daten für ver-
schlüsselte Kommunikation in beiden Richtungen: das Wurzelzertifikat der Gegenstelle, das
eigene Zertifikat und den eigenen privaten Schlüssel.

44 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Index

B K
Benutzerverwaltung Konfiguration
WinCC 34 Secure Communication 26
Benutzerverwaltung in SICAM PAS 32
Betriebssystem
Zugriffe in Runtime verhindern 33
Betriebssystem konfigurieren 33 L
LOG-Dateien kontrollieren 37

C
Common Name (Schlüsselbegriff) 24 M
Management LAN 14

D
Deinstallation N
Secure Communication 29
Netzwerk
Diamond LAN 15
Datenverkehr 17
Regelwerk 19
Netzwerktopologie
DMZ 15
siehe Topologie

E O
eigenes Zertifikat 22
OpenSSL 23
Organization (Schlüsselbegriff) 24

F
Firewall 16 P
Regelwerk 16
PAS LAN 15
Windows 36
Regelwerk 17
privater Schlüssel 22

G
Geräte LAN 14 R
Regelwerk 18
Regelwerk 16
Topologie 14
Diamond LAN 19
Geräte LAN 18
PAS LAN 17
I Remote LAN 15

Installation
Secure Communication Addon 25
Zertifikat-Paket 26

SICAM, SICAM PAS, Security 45

E50417-H8900-C382-A1, Ausgabedatum 05.2007
Index

S
Secure Communication
aktivieren 28
deinstallieren 29
installieren 25
konfigurieren 26
Restriktionen 25
Sichere Kommunikation
siehe Secure Communication
Systemübersicht 14
Topologie 14

T
Tastenkombinationen sperren 34
Topologie 14
Diamond LAN 15
Management LAN 14
PAS LAN 15
Remote LAN 15
Übersicht

V
Verschlüsselung, asymmetrische 22

W
WinCC
Benutzerverwaltung 34
Zugriffsrechte 35
Windows Firewall 36
Windows Taskleiste
Zugriff verhindern 33
Wurzelzertifikat 22

Z
Zertifikat-Paket 22
Generierung 23
installieren 26
Schlüssel 24
Zugang einschränken 36
Zugriff
Betriebssystem 33
Zugriffsrechte
WinCC 35

46 SICAM, SICAM PAS, Security

E50417-H8900-C382-A1, Ausgabedatum 05.2007